Hramba kadrovskih podatkov

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem navajate, da razvijate in tržite aplikacijo, ki omogoča tudi vodenje kadrovskih podatkov. Gre tudi za podatke družinskih članov, če jih zaposleni prinese v kadrovsko službo. Podatki o družinskih članih se vzdržujejo zaradi pravice do dodatnih dni dopusta in uveljavljanja davčnih olajšav. Po tem, ko zaposleni ne more več uveljavljati pravice do dodatnih dni dopusta in ne more več uveljavljati davčnih olajšav, delodajalec nima več osnove za vodenje podatkov o družinskih članih. Zanima vas, koliko časa lahko delodajalec še vzdržuje podatke o družinskih članih v aplikaciji; ali je psevdonimizacija podatkov po tem dovolj; kako postopati v primeru, da so podatki vodeni v knjigah in papirni obliki, koliko časa jih je potrebno hraniti; kako postopati glede izbrisa potem, ko ni več pravne podlage.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 - v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 - v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora ali upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Splošna uredba v zvezi s shranjevanjem osebnih podatkov v členu 5.1(e) določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; za daljše obdobje pa se lahko shranjujejo le, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89(1) Splošne uredbe, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (»omejitev shranjevanja«). Po izpolnitvi namena obdelave se torej osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače. Psevdonimizacija zato v primeru, da pravne podlage ni več, ni dovolj, če se resnično izteče rok hrambe, je potreben bodisi izbris bodisi blokiranje. Rok hrambe ni odvisen od tega, na kakšnem nosilcu je podatek (elektronska ali papirnata oblika).

ZDR-1 v 48. členu določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga (preveriti je torej treba vse predpise, ki bi lahko zahtevali nadaljnjo hrambo podatkov npr. ZVDAGA, računovodske predpise), takoj zbrisati in prenehati uporabljati, ZEPDSV pa določa, da se evidence, ki jih vodijo delodajalci, začnejo za posameznega delavca voditi z dnem, ko sklene pogodbo o zaposlitvi, prenehajo pa z dnem, ko mu pogodba o zaposlitvi preneha. Dokumenti s podatki o delavcu, za katerega se prenehajo voditi omenjene evidence in izvirne listine, na podlagi katerih se vpisujejo podatki v te evidence, se hranijo kot listine trajne vrednosti.

Sicer pa IP v svojih mnenjih, ki jih je že izdal in jih lahko najdete na povezavi https://www.ip-rs.si/vop/ poudarja, da je dolžnost vsakega upravljavca, da presodi, ali mora določene podatke tudi po izteku prvotnega namena morda hraniti na kateri drugi pravni podlagi, kot je bila prvotna (npr. v zvezi z obveznostmi morebitnih zahtev glede hrambe dokumentarnega in arhivskega gradiva, morebitnih pravnih postopkov, v zvezi z obveznostmi hrambe po računovodskih predpisih ali glede na obveznosti hrambe dokumentacije iz posameznih projektov ipd.).

V upanju, da vam bo naš odgovor v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka